Схема обналичивания через дроп-счета: разбор фрод-кейса и сигналы антифрод-системы

Четырнадцать переводов за 47 минут, каждый — ровно 14 900 рублей. Счёт открыт три дня назад, до этого ни одной операции. Антифрод-система подняла алерт на шестом переводе — через двенадцать минут после старта цепочки. Открываю карточку клиента: 22 года, зарплатный проект не подключён, IP входа в онлайн-банк — VPN-сервис. Классический дроп-счёт.

Если вы переходите в антифрод из IT или аналитики данных — такие кейсы станут ежедневной рутиной. Ниже разберём, как устроена схема обналичивания через дроп-счета, какие сигналы ловит антифрод-система и почему часть денег всё равно уходит.

Что такое дроп-счёт и зачем он нужен мошенникам

Дроп-счёт — банковский счёт, через который принимают и перебрасывают похищенные деньги. Дроп (от англ. drop — сброс) — человек, на чьё имя этот счёт открыт. Иногда его называют «дроппер». Он может осознанно участвовать в схеме и получать процент от суммы, а может вообще не знать, что его данные использовали.

Зачем промежуточный счёт? Выводить украденные деньги напрямую на свой — значит оставить прямую связь между жертвой и получателем. Дроп-счёт разрывает цепочку: деньги проходят через одного, двух, иногда пять промежуточных владельцев. К моменту обналичивания восстановить путь становится кратно сложнее.

Два типа дропов, которые попадаются чаще всего:

• Дроп-транзитник — принимает перевод и тут же отправляет дальше на указанные реквизиты. От поступления до перевода проходят минуты.
• Дроп-обнальщик — снимает наличные в банкомате или в отделении и передаёт организатору, оставляя себе 5–15%.

В обоих случаях дроп-счёт — расходный материал. Мошенники заранее знают, что счёт заблокируют, поэтому готовят десятки таких счетов впрок. По данным Javelin Strategy & Research (2026), количество случаев мошенничества с новыми счетами в США выросло на 31% за 2025 год — 5,4 миллиона пострадавших. В России масштаб сопоставим: ЦБ РФ фиксирует устойчивый рост выявленных дроп-операций от года к году.

Схема обналичивания через дроп-счета — пять этапов

Обнальная схема — не хаотичная переброска денег. Это отлаженный конвейер, и чтобы понимать логику фрод-мониторинга банка, полезно видеть его целиком.

Ниже я размечу этапы через MITRE ATT&CK — открытую базу тактик и техник атак. T-коды вроде T1657 — её идентификаторы. Если вы с ATT&CK ещё не работали, считайте это единым каталогом: «что именно делает атакующий и на каком этапе».

Этап 1 — Подготовка инфраструктуры. Организатор собирает банковские карты и счета. Вербует дропов через Telegram-каналы и объявления о «лёгком заработке» или открывает счета на украденные персональные данные — так называемые синтетические личности. В терминах ATT&CK это тактика Resource Development: создание аккаунтов (T1585) и компрометация существующих (T1586). Формально подтехники T1585.003/T1586.003 описывают облачные аккаунты атакующей инфраструктуры, а не банковские счета физлиц, но логика одна — подготовка подконтрольных аккаунтов для проведения атаки.

Откуда данные для синтетических личностей? Из утечек. По оценке IBM X-Force (2024), ежедневно в даркнете появляется более 6 000 свежих наборов учётных данных. В марте 2026 года утекла база колумбийской финтех-компании Addi — 34,5 миллиона записей с кредитными скорингами и государственными ID (данные Have I Been Pwned). Такие массивы — сырьё для создания дроп-инфраструктуры.

Этап 2 — Хищение средств. Деньги жертвы уходят на первый дроп-счёт. Способ может быть любым: фишинг через поддельные ссылки (T1598.003 — Spearphishing Link, тактика reconnaissance — сбор информации о жертве), социальная инженерия с имперсонацией (T1656 — Impersonation, тактика defense evasion), компрометация онлайн-банкинга. По данным Verizon DBIR 2025, в 68% утечек данных участвует человеческий фактор — ошибки, злоупотребления или социальная инженерия.

Этап 3 — Транзит. Деньги «прогоняются» через цепочку дроп-счетов. На каждом узле сумма дробится: 200 000 рублей превращаются в 14 переводов по 14 200–14 900 рублей. Цель — не превысить порог, при котором транзакция попадает в усиленный мониторинг.

Этап 4 — Обналичивание. Конечный дроп снимает деньги в банкомате, переводит на электронный кошелёк или покупает криптовалюту. В ATT&CK этот этап — Financial Theft (T1657, тактика impact).

Этап 5 — Передача организатору. Наличные или крипта уходят куратору схемы. Дроп получает свой процент.

Весь цикл от хищения до получения наличных организатором — от 30 минут до нескольких часов. Задача антифрод-системы — сработать на этапе 3, пока деньги ещё внутри банковской системы.

Сигналы антифрод-системы: что срабатывает до вывода денег

Антифрод-система банка — связка правил и ML-моделей (алгоритмов машинного обучения), которые в реальном времени оценивают каждую транзакцию. Операции присваивается скоринг — числовая оценка подозрительности. В типичных системах шкала от 0 до 1000: чем выше, тем подозрительнее. Если скоринг превышает порог — транзакция уходит аналитику на ручную проверку или блокируется автоматически.

Разберём конкретные сигналы, которые обеспечивают детекцию дроп-счетов банком.

Velocity-check — скорость и частота операций

Velocity-check (проверка скорости) — правило, отслеживающее количество и частоту операций за единицу времени. Нормальное поведение физлица — 2–5 переводов в день. Если за час со счёта уходит 10+ переводов — первый красный флаг.

Логика правила в упрощённом виде (псевдокод для демонстрации концепции; реальные системы используют более сложные формулы):

RULE velocity_outbound:
  IF count(transfers_out, window=60min) > 7
  AND account_age < 30 days
  THEN score += 350
  ACTION: escalate_to_analyst

Здесь window=60min — окно наблюдения (час), account_age — возраст счёта. Комбинация «много переводов за короткое время» плюс «молодой счёт» резко повышает скоринг. Системы вроде FICO Falcon и собственные разработки банков строят десятки таких правил для разных сценариев.

Дробление сумм — structuring

Structuring (дробление, иногда называют «смурфинг») — разбивка крупной суммы на множество мелких переводов, чтобы не попасть под порог обязательного контроля. В России по 115-ФЗ (Федеральный закон «О противодействии легализации доходов, полученных преступным путём») обязательному контролю подлежат операции от 600 000 рублей. Но дробят суммы гораздо ниже — до 15 000–50 000 за перевод.

Признаки мошеннической транзакции при structuring:

• Все переводы в узком диапазоне сумм (14 200–14 900 рублей) — слишком «ровные» для обычного человека
• Суммы чуть ниже круглых значений (9 900 вместо 10 000) — попытка обойти пороговое правило
• Множество переводов разным получателям за короткий период
• Общая сумма за день кратно превышает средний оборот по счёту

Несоответствие профилю клиента

Каждый клиент в антифрод-системе имеет профиль — набор параметров «нормального» поведения: средний оборот, типичные получатели, география операций, время активности. Когда поведение резко отклоняется от профиля — система генерирует алерт.

Типичные отклонения для дроп-счёта:

Этот набор — основа поведенческого скоринга транзакций. ML-модель обучается на исторических данных подтверждённого фрода и легитимных операций, после чего в реальном времени оценивает каждую транзакцию по десяткам таких признаков.

Фрод-кейс 2026: от алерта до блокировки дроп-цепочки

Ниже — синтетический кейс, собранный из типичных паттернов реальных инцидентов. Детали композитные и анонимизированные, но паттерн повторяется десятки раз в месяц на любой крупной антифрод-площадке. Каждый шаг — то, что вы будете делать сами, если придёте в эту роль.

Алерт. Система поднимает уведомление: скоринг 780 из 1000. Причины: velocity-check (9 исходящих переводов за 40 минут), молодой счёт (4 дня), несоответствие профилю (нулевая история до текущего дня). В интерфейсе антифрод-платформы появляется карточка алерта с деталями операции и присвоенным скорингом.

Шаг 1 — Карточка клиента. Аналитик открывает профиль: физлицо, 21 год, счёт открыт дистанционно. Зарплатный проект не подключён. Единственная операция до сегодня — входящий перевод 1 000 рублей. Скорее всего, «оживление» счёта, чтобы он не выглядел полностью пустым. Запомните: молодой счёт с символическим первым переводом — уже паттерн.

Шаг 2 — Транзакции текущего дня. За утро на счёт поступило 6 переводов от разных физлиц на общую сумму 267 000 рублей. Суммы: 48 500, 44 200, 47 800, 43 900, 41 600, 41 000. В течение минут после каждого поступления деньги уходили переводами по 14 200–14 900 рублей на три счёта в других банках. В выписке видна характерная «пила» — входящий перевод и тут же серия исходящих.

Шаг 3 — Проверка получателей. Ни один из трёх получателей ранее не фигурировал в транзакциях клиента. Все три счёта открыты в последние 7 дней. Тот же паттерн молодых счетов — маркер дроп-сети.

Шаг 4 — Проверка отправителей. Шесть отправителей — физлица из разных регионов. Через систему межбанковского обмена информацией (в России — платформа ФинЦЕРТ Банка России) аналитик видит: по двум из них уже поданы заявления о мошенничестве. В интерфейсе ФинЦЕРТ рядом с реквизитами отправителя стоит флаг «заявление о хищении».

Шаг 5 — Блокировка. Счёт блокируется. Остаток — 38 400 рублей, не успевших уйти — замораживается. Информация передаётся в службу безопасности банка и далее в ФинЦЕРТ для включения в базу подозрительных реквизитов. Банки-получатели уведомляются о подозрительных входящих переводах.

Весь разбор от алерта до блокировки занял 8 минут. Из 267 000 рублей удалось перехватить 38 400 — остальное ушло в другие банки, где аналогичную работу ведут их антифрод-команды.

Выявление дропов через сетевой и графовый анализ

Один дроп-счёт — мелкая рыба. Организаторы обнальных схем управляют десятками и сотнями таких счетов. Чтобы вскрывать целые сети, антифрод-системы используют графовый анализ: счета, устройства и IP-адреса — узлы графа, транзакции и связи между ними — рёбра.

Что это даёт на практике:

• Кластеризация по устройству. Если 15 разных счетов входят в онлайн-банк с одного устройства (один device fingerprint — «отпечаток» устройства: комбинация браузера, ОС, разрешения экрана) — почти наверняка одна группа, даже если имена и паспортные данные разные.
• Связи по IP-адресу. Общий IP или подсеть для группы «независимых» клиентов — сильный сигнал. По данным ShadowDragon, именно связывание идентификаторов (email, телефон, IP, адрес) в единую картину позволяет вскрывать collusion rings — группы, координирующие действия.
• Транзакционные кольца. Деньги, которые «крутятся» по замкнутому контуру (A→B→C→A), указывают на отмывание через дропов, а не на реальные расчёты.

По оценке Nasdaq Verafin (2026), индустрия переживает кризис финансовой преступности: криминальные сети используют ИИ для масштабирования мошеннических схем и действуют с координацией транснациональных корпораций.

Для начинающего фрод-аналитика навык «мыслить графами» — один из ключевых. Увидели один подозрительный счёт — ищите связанные. Часто за одним алертом стоит сеть из 10–30 дроп-счетов, объединённых общим device fingerprint или IP-адресом.

Регуляторный контекст — 115-ФЗ и работа с ФинЦЕРТ

В России противодействие обналичиванию денег через дропов регулируется Федеральным законом № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путём, и финансированию терроризма». Закон обязывает банки:

• Проводить идентификацию клиентов — KYC (Know Your Customer): проверка личности при открытии счёта
• Отслеживать подозрительные операции через транзакционный мониторинг
• Сообщать в Росфинмониторинг об операциях, подлежащих обязательному контролю (от 600 000 рублей), и о подозрительных операциях любого размера

С 2022 года Банк России через платформу ФинЦЕРТ ведёт базу реквизитов, связанных с мошенническими операциями. Банки проверяют исходящие переводы по этой базе в реальном времени: если получатель в «чёрном списке» — перевод приостанавливается на срок до 48 часов, клиент получает уведомление.

Изменения 2024–2025 годов добавили финансовую ответственность: если банк не приостановил перевод на счёт из базы ФинЦЕРТ — платит сам. Это кратно повысило мотивацию инвестировать в фрод-мониторинг банка и расширять антифрод-команды.

Для тех, кто переходит в антифрод из смежной области, важно понимать: работа фрод-аналитика в российском банке — не только технический анализ. Оформление подозрительной операции, взаимодействие с compliance-подразделением, подготовка документов для Росфинмониторинга — повседневные задачи наравне с разбором алертов.

В большинстве антифрод-команд, в которых мне доводилось работать, детекция строится на трёх уровнях: правила (rule-based) для известных паттернов, ML-модели для выявления новых аномалий и графовый анализ для обнаружения сетей. Ни один уровень в отдельности не закрывает все схемы обналичивания через дроп-счета. Правила ловят дробление сумм и velocity-аномалии, но пропускают новые паттерны. ML-модель адаптируется, но требует качественной разметки данных — а большинство банков до сих пор размечают вручную. Графовый анализ раскрывает сети, но с задержкой: пока граф построен, часть денег уже вышла из периметра.

Отсюда неудобная правда: антифрод — не стена, а фильтр. Часть мошеннических операций проходит всегда. Метрика эффективности — не «поймали 100%», а «сократили потери до приемлемого уровня и увеличили скорость реакции». Когда антифрод-система подняла алерт на шестом переводе из четырнадцати — это рабочий результат: заморозили 14% суммы и, что важнее, идентифицировали три связанных счёта в других банках. Без автоматизации аналитик увидел бы этот кейс в лучшем случае на следующий день — когда деньги уже обналичены.

Если вы переходите в антифрод из IT, разработки или аналитики данных — фундамент тот же: SQL, статистика, понимание распределений. Разница в том, что здесь каждый ложноотрицательный результат — реальные деньги реального человека. На IB Basics эту связку «аналитика данных + ИБ-контекст» разбирают с первых модулей — для тех, кому нужна структура, а не разрозненные статьи.